PT-2026-60135
CVE-2026-61427
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI الأقدم من 4.6.78
الوصف
يكون نقل MCP HTTP-stream مكشوفًا دون مصادقة بشكل افتراضي لأن الخيار
--api-key في واجهة سطر الأوامر (CLI) يكون افتراضيًا على None، ولا يقوم الخادم بفرض عمليات التحقق من Authorization/Bearer إلا عند تكوين مفتاح API. يمكن للعميل غير المصادق عليه تهيئة جلسة عمل، وتعداد الأدوات المتاحة عبر نقطة النهاية tools/list، واستدعاء الأدوات عبر نقطة النهاية tools/call. علاوة على ذلك، يقوم الموزع بإعادة توجيه معلمات استدعاء الأدوات إلى المعالجات دون التحقق من صحتها مقابل inputSchema. وبينما يرتبط الخادم بـ 127.0.0.1 بشكل افتراضي، فإن الاستغلال عن بُعد ممكن إذا قام المشغل بربط الخادم بعنوان يمكن الوصول إليه عبر الشبكة باستخدام المعلمة --host.التوصيات
قم بتحديث PraisonAI إلى الإصدار 4.6.78 أو أحدث.
كإجراء تخفيفي مؤقت، تأكد من أن الخادم غير مرتبط بعنوان يمكن الوصول إليه عبر الشبكة مثل
0.0.0.0 وقم دائمًا بتكوين مفتاح API صالح باستخدام الخيار --api-key.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾